CSRF防护是指防止跨站请求伪造攻击的技术。为了保护用户数据与系统安全，采取有效措施防护 CSRF漏洞 至关重要。常见的CSRF防护策略包括：同源检测(Origin和Referer验证);token验证以及配合SameSite设置；保护页面的幂等性，不要再GET请求中做用户操作等 。
随着互联网的快速发展，网络安全问题日益凸显，其中之一便是跨站请求伪造(Cross-Site Request Forgery,简称CSRF)攻击，CSRF攻击是一种恶意攻击手段，攻击者通过伪造用户的请求，让用户在不知情的情况下执行非预期的操作，为了保护用户数据和系统安全，本文将介绍一些常见的CSRF防护策略与实践。
1、验证码机制
验证码是一种简单且有效的防止CSRF攻击的方法，当用户提交表单时，服务器会检查用户是否通过了验证码验证，验证码可以是数字、字母或图片等形式，以增加攻击者的难度，为了防止机器人自动刷验证码，可以使用人机识别技术，如图像识别、语音识别等。
2、Referer验证
Referer验证是通过检查HTTP请求头中的Referer字段来判断请求来源是否合法，当用户提交表单时，服务器会检查请求的Referer字段是否与预期相符，如果不符，则拒绝该请求，还可以结合其他验证方式，如Token验证、Cookie验证等，提高防护效果。
3、Token验证
Token验证是一种基于令牌的安全认证方法，服务器生成一个随机令牌，并将其存储在客户端的Cookie或Session中，当用户提交表单时，需要将Token一并提交给服务器，服务器会检查请求中的Token是否与存储在客户端的Token相匹配，如果匹配，则认为请求是合法的；否则，拒绝该请求，这种方法可以有效防止CSRF攻击，但可能会增加服务器的计算负担。
4、Cookie验证
Cookie验证是一种将敏感信息存储在客户端的技术，当用户提交表单时，服务器会将一个包含Token或其他敏感信息的Cookie发送给客户端，客户端在后续请求中会自动携带该Cookie,从而实现身份认证，这种方法可以有效防止CSRF攻击，但可能会增加客户端的存储负担。
5、X-CSRF-Token头
X-CSRF-Token头是一种自定义的HTTP响应头，用于存储跨站请求伪造令牌，当用户提交表单时，服务器会在响应头中添加一个X-CSRF-Token字段，其值为生成的令牌，客户端在后续请求中会自动携带该Token,从而实现身份认证，这种方法可以灵活应对各种场景，同时避免了对现有HTTP协议的修改。
6、预编译SQL语句
对于数据库操作(如SQL注入),可以采用预编译SQL语句的方式进行防护，预编译SQL语句可以将SQL语句和参数分开处理，有效防止恶意构造的攻击代码，数据库管理系统通常也提供了相关的安全功能，如参数化查询、存储过程等，以进一步提高安全性。
CSRF防护是一项复杂的工作，需要综合运用多种技术手段，在实际应用中，可以根据业务需求和系统特点选择合适的防护策略，还需要定期评估防护效果，及时调整策略以应对新的安全威胁。
